Il n’existe pas de cadre de sécurité IA du NIST

Praticiens, éditeurs et décideurs traitent de plus en plus « le cadre de sécurité IA du NIST » comme s’il désignait une ligne de base de contrôles unique. Ce n’est pas le cas.

Le NIST a publié une famille de documents volontaires sur l’IA depuis 2023. L’expression renvoie à au moins trois choses distinctes : l’Artificial Intelligence Risk Management Framework (AI RMF) lui-même ; le Cybersecurity Framework Profile for Artificial Intelligence publié ensuite (NIST IR 8596) ; et, plus largement, l’union de ces documents avec les guides sur l’apprentissage automatique adversarial et les contrôles de cybersécurité ordinaires. Les confondre produit deux modes d’échec. Les équipes qui voulaient un programme de sécurité ne mettent en place que des ateliers de gouvernance. Celles qui voulaient une IA digne de confiance ne mettent en place que des listes de durcissement de modèles.

Ce texte présente un article de cartographie. Nous lisons le corpus public du NIST en date d’août 2026. Nous n’évaluons pas de modèles et nous ne prétendons pas qu’un produit quelconque met en œuvre l’AI RMF.

Trois observations

La suite est le cadre. L’AI RMF 1.0 (NIST AI 100-1) est paru en janvier 2023 avec un Playbook, une Roadmap, un exposé détaillé des caractéristiques d’IA digne de confiance et un catalogue communautaire via le Trustworthy and Responsible AI Resource Center. Traiter l’AI 100-1 comme l’ensemble du programme sous-estime ce que le NIST a publié au premier trimestre 2023.

La sécurité est une caractéristique, pas le cadre. Le NIST énumère sept caractéristiques d’IA digne de confiance. Secure and resilient est une ligne de cette liste. Les quatre fonctions — Govern, Map, Measure, Manage — sont la façon dont une organisation poursuit les sept, y compris les tensions entre elles.

Les instruments de cybersécurité s’ajoutent ; ils ne remplacent pas. CSF 2.0, l’ébauche du Cyber AI Profile, AI 100-2, AI 600-1 et SP 800-53 approfondissent la cybersécurité et la pratique de l’IA générative. Le NIST indique lui-même que CSF 2.0, l’AI RMF et le Cyber AI Profile sont conçus pour être utilisés ensemble.

La suite d’origine

Le lancement de janvier 2023 du NIST était un ensemble, pas un seul fichier :

Govern est transversal. Map, Measure et Manage forment une boucle sur un système d’IA donné. Le Core décrit des résultats, pas des outils. « MEASURE 2 : les systèmes d’IA sont évalués pour les caractéristiques de fiabilité » ne nomme ni un fournisseur de red team ni une métrique de robustesse adversarial. Ces choix relèvent du Playbook, d’un profil organisationnel ou d’un complément comme l’AI 100-2.

La sécurité est l’une des sept

Les systèmes d’IA dignes de confiance sont, combinés : valides et fiables ; sûrs ; secure and resilient ; responsables et transparents ; explicables et interprétables ; respectueux de la vie privée ; et équitables, avec gestion des biais nuisibles.

Secure and resilient recoupe la triade CIA classique et les résultats du CSF. À lui seul, il n’inclut pas si l’objectif déclaré du modèle correspond aux valeurs du déployeur, si les refus sont adéquats, si les explications sont fidèles ou si les évaluations sont statistiquement valides. L’apprentissage automatique adversarial se situe à la frontière — d’où la taxonomie dédiée du NIST plutôt que de tout intégrer au CSF.

Une lecture centrée sur la sécurité des quatre fonctions a tout de même du contenu : qui possède le risque modèle versus la sécurité applicative ; ce qu’est réellement le système d’IA (modèle, invites, outils, récupération, humains) ; quels tests existent pour les jailbreaks, l’injection, l’exfiltration et l’empoisonnement ; et quel risque résiduel subsiste après atténuation — y compris des préjudices qui n’apparaîtront jamais dans un SIEM.

Quel document répond à quelle question

La question pratique n’est pas quel document est « le » cadre. C’est quel document répond à quelle question :

1. Quels résultats devons-nous viser ? → AI RMF 1.0 + profil (AI 600-1 ou sectoriel)
2. Comment pourrions-nous les poursuivre ? → Playbook + exemples AIRC
3. Quels sont les résultats cyber ? → CSF 2.0 + Cyber AI Profile (IR 8596)
4. Que peut-il arriver au modèle ? → AI 100-2 (+ ATLAS)
5. Quels contrôles les concrétisent ? → SP 800-53 / overlay / ISO 27001

Ignorer une ligne est courant. Prétendre que la ligne ignorée était couverte est l’erreur habituelle.

Exemple : un système de chat agentique

Considérez un assistant hébergé qui récupère des documents privés, appelle des outils et agit sur plusieurs tours.

Map. Le système n’est pas « le modèle ». C’est le modèle, l’invite système, les corpus récupérés, les API d’outils, la mémoire de session, les évaluateurs et les opérateurs humains. La liste de risques GenAI de l’AI 600-1 est dans le périmètre.

Govern. Propriétaires distincts pour la sécurité applicative, le contrôle des changements de modèle et d’invite, la politique de sûreté et les modèles fournisseurs. Le Govern tiers s’applique aux API de modèles de fondation comme au SaaS.

Measure. Les classes d’usage abusif et de confidentialité de l’AI 100-2 couvrent les jailbreaks, l’injection d’invite via documents récupérés et l’exfiltration de données par les outils. Elles ne couvrent pas la confabulation qui nuit à un utilisateur sans attaquant. Un rapport de red team qui ne compte que le taux de succès des attaques est un Measure incomplet par rapport à l’AI 600-1.

Manage. Les types d’incident incluent les brèches classiques et les actions d’outils achevées et nuisibles. La reprise peut signifier un retour en arrière d’invite ou de modèle, pas seulement la rotation d’identifiants.

Quatre modes d’échec

Nous observons quatre erreurs de catégorie récurrentes dans les affirmations publiques :

• Conformité PDF. Traiter une feuille Playbook complétée comme la mise en œuvre de MEASURE 2.
• Synecdoque sécurité. Équivaloir mise en œuvre de l’AI RMF et évaluation de robustesse adversarial.
• Synecdoque éthique. Équivaloir mise en œuvre de l’AI RMF et tableau de bord d’équité sans parcours d’incident.
• Théâtre de certification. Annoncer « certifié NIST AI RMF » alors que le NIST n’offre aucune telle certification pour la version 1.0.

Le dernier est le plus trompeur. ISO/IEC 42001 est le système de management de l’IA certifiable. L’AI RMF est un cadre de résultats volontaire qui peut être aligné avec ce système — jamais certifié par rapport à lui.

Pourquoi cette carte

Utilisés ensemble, ces documents sont cohérents. Utilisés comme synonymes, ils produisent des programmes soit sécurité avec vocabulaire éthique, soit éthique sans parcours d’incident. La correction la moins coûteuse est linguistique : indiquer quel document répond à quelle question, et cesser de prétendre le reste.

L’AI RMF 1.0 est en cours de révision dans le cadre du White House AI Action Plan ; le Playbook suivra cette révision. Les lecteurs doivent traiter ceci comme une carte de la suite de l’ère 1.0 plus les compléments publiés jusqu’à mi-2026 — pas comme un gel du texte 2.0.

Pour les détails complets, tableaux et procédure d’usage, lisez l’article.

@online{violet2026nistairmf,
  author = {Haigh, John},
  title = {The NIST AI Risk Management Framework: Mapping the Core Suite to Security Practice},
  date = {2026-09-12},
  year = {2026},
  url = {https://www.violetai.ca/fr-FR/research/nist-ai-rmf/paper},
}